[发明专利]一种基于交互行为分析的网络渗透识别方法

权利要求书

1.一种基于交互行为分析的网络渗透识别方法，其特征在于所述方法包括如下步骤：

步骤一、数据预处理

(1)利用Sebek技术对攻击行为进行捕获；

(2)提取和清洗数据，去掉无效和奇异的数据，利用最大信息系数法获取特征关联度并对特征进行筛选；

(3)将特征进行分类，使用独热编码方式将离散特征数值化，变成攻击识别模型能够接受的特征序列；

步骤二、构建渗透攻击识别模型

(1)选取长短时记忆循环神经网络对交互行为进行建模；

(2)设置模型的隐藏层的激活函数为ReLU，输出层采用Softmax实现模型多分类输出；

(3)采用交叉熵作为损失函数来描述模型实际输出与预期输出的差距；

(4)使用基于时间反向传播算法BPTT对模型进行训练；

步骤三、渗透攻击识别

将步骤一处理后的特征序列输入步骤二训练好的模型中，根据输出确定是哪种类型的渗透攻击。

2.根据权利要求1所述的基于交互行为分析的网络渗透识别方法，其特征在于所述Sebek分为客户端和服务端，Sebek客户端采集主机的交互行为，通过网络传输到Sebek服务器端。

3.根据权利要求1所述的基于交互行为分析的网络渗透识别方法，其特征在于所述最大信息系数法中，最大信息系数计算的公式如下：

4.根据权利要求3所述的基于交互行为分析的网络渗透识别方法，其特征在于所述互信息表示如下：

；

式中，I(x；y)代表互信息，x、y分别代表候选特征集中的两个特征，p(x)、p(y)分别代表x、y的边缘概率分布函数，p(x,y)分别x和y的联合概率分布函数。

5.根据权利要求1所述的基于交互行为分析的网络渗透识别方法，其特征在于所述对特征集进行筛选时采用MMIFS算法作为评估标准：

；

式中，f_i代表特征；G(f_i)代表候选特征f_i的评价函数；I(f_i；y)中，y是类别，表示f_i与类别y的互相信息量，即相关性；f_s表示已选特征代表；β为比例系数，在0～1之间；|G|表示已选特征个数。

6.根据权利要求1所述的基于交互行为分析的网络渗透识别方法，其特征在于所述ReLU的函数表达式如下所示：

f(x)＝max(0,x)；

式中，x代表神经元的输入。

7.根据权利要求1所述的基于交互行为分析的网络渗透识别方法，其特征在于所述交叉熵的表达式如下所示：

H(p,q)＝-∑p(x)logq(x)；

式中，p(x)代表边缘分布式概率函数，q(x)代表边缘分布概率函数。